混乱した副官問題

情報セキュリティにおいて、混乱した代理人とは、別のプログラム（権限が少ないプログラム）に騙されて、システム上の権限を悪用するコンピュータプログラムです。これは、特権エスカレーションの特定の種類です。^[1]混乱した代理人の問題は、機能ベースのセキュリティが重要である理由の例としてよく引用されます。

能力システムは混乱した代理人問題から保護しますが、アクセス制御リストベースのシステムは保護しません。^[2]

混乱した代理人の元の例^[3]では、商用タイムシェアリングサービスで提供されるコンパイラプログラムがありました。ユーザーはコンパイラを実行し、オプションでデバッグ出力を書き込むファイル名を指定でき、ユーザーが書き込み権限を持っている場合はコンパイラはそのファイルに書き込むことができます。

コンパイラは、言語機能の使用状況に関する統計も収集しました。これらの統計は、「SYSX」ディレクトリの「(SYSX)STAT」というファイルに保存されました。これを可能にするために、コンパイラ プログラムには、SYSX 内のファイルへの書き込み権限が与えられました。

しかし、SYSX には他のファイルもありました。特に、システムの課金情報はファイル「(SYSX)BILL」に保存されていました。ユーザーはコンパイラを実行し、必要なデバッグ出力ファイルとして「(SYSX)BILL」という名前を付けました。

これにより、混乱した代理問題が発生しました。コンパイラはオペレーティング システムに(SYSX)BILL を開くように要求しました。ユーザーにはそのファイルへのアクセス権がなかったにもかかわらず、コンパイラにはアクセス権があったため、ファイルを開くことは成功しました。コンパイラは通常どおりコンパイル出力をファイル (ここでは "(SYSX)BILL") に書き込み、上書きしたため、請求情報は破壊されました。

この例では、コンパイラ プログラムはユーザーの要求に応じて動作しているため、代理人です。プログラムは、システムの課金ファイルを上書きするように騙されたため、「混乱」しているように見えます。

プログラムがファイルにアクセスしようとするときはいつでも、オペレーティング システムは、プログラムがどのファイルを要求しているか、およびプログラムがファイルにアクセスする権限を持っているかどうかという 2 つのことを認識している必要があります。この例では、ファイルは「(SYSX)BILL」という名前で指定されています。プログラムはユーザーからファイル名を受け取りますが、ユーザーがファイルへの書き込み権限を持っているかどうかは知りません。プログラムがファイルを開くとき、システムはユーザーの権限ではなく、プログラムの権限を使用します。ファイル名がユーザーからプログラムに渡されたとき、権限はそれに合わせて変更されません。権限はシステムによって自動的に暗黙的に増加されます。

課金ファイルが文字列として表される名前で指定されることは、攻撃にとって重要ではありません。重要な点は次のとおりです。

• ファイルの指定者がファイルにアクセスするために必要な完全な権限を持っていない。
• プログラム独自のファイルアクセス権限が暗黙的に使用されます。

クロスサイト リクエスト フォージェリ(CSRF) は、 Webブラウザを使用して Web アプリケーションに対して機密性の高いアクションを実行する、混乱した代理人攻撃の一例です。この攻撃の一般的な形態は、Web アプリケーションが Cookie を使用してブラウザから送信されるすべてのリクエストを認証するときに発生します。攻撃者はJavaScript を使用して、ブラウザに認証されたHTTPリクエストを送信するように強制できます。

Samyコンピュータ ワームは、クロスサイト スクリプティング(XSS)を使用して、ブラウザーの認証された MySpace セッションを混乱した代理人に変えました。XSS を使用して、ワームはブラウザーにワームの実行可能なコピーを MySpace メッセージとして投稿させ、感染したユーザーの友人がそれを閲覧して実行しました。

クリックジャッキングは、ユーザーが混乱した代理人として行動する攻撃です。この攻撃では、ユーザーはWebサイト（攻撃者が管理するWebサイト）を無害に閲覧していると考えていますが、実際には別のWebサイトで機密性の高い操作を実行するように騙されます。^[4]

FTPバウンス攻撃では、攻撃者はリモートFTPサーバーを混乱した代理人として 使用し、攻撃者のマシンがアクセスできないTCP ポートに間接的に接続することができます。

もう 1 つの例は、パーソナル ファイアウォールソフトウェアに関するものです。このソフトウェアは、特定のアプリケーションによるインターネット アクセスを制限できます。一部のアプリケーションは、特定の URL にアクセスするよう指示するブラウザを起動することで、これを回避します。アプリケーションにはネットワーク接続を開く権限はありませんが、ブラウザにはネットワーク接続を開く権限があります。ファイアウォール ソフトウェアは、あるプログラムが別のプログラムを起動してネットワークにアクセスする場合に、ユーザーにプロンプ​​トを表示することで、この問題に対処しようとします。ただし、ユーザーには、このようなアクセスが正当かどうかを判断するのに十分な情報がない場合が多く、誤検知がよく発生し、熟練したユーザーでさえ、これらのプロンプトに対して [OK] をクリックすることに慣れてしまうという大きなリスクがあります。^[5]

権限を悪用するすべてのプログラムが混乱した代理人というわけではありません。権限の悪用は、単にプログラム エラーの結果である場合もあります。混乱した代理人の問題は、オブジェクトの指定が 1 つのプログラムから別のプログラムに渡され、どちらの側も明示的なアクションをとらずに、関連する権限が意図せず変更された場合に発生します。どちらの側も権限を変更するために明示的な操作を行っていないため、この問題は巧妙に発生します。

一部のシステムでは、別のクライアントの権限を使用してファイルを開くようにオペレーティング システムに要求できます。このソリューションにはいくつかの欠点があります。

• サーバーによるセキュリティへの明確な注意が必要です。 素朴または不注意なサーバーは、この追加手順を実行しない可能性があります。
• サーバーが別のサービスのクライアントであり、ファイルへのアクセスを渡そうとしている場合、正しい権限を識別することがより困難になります。
• クライアントは、借用した権限を悪用しないようサーバーを信頼する必要があります。サーバーとクライアントの権限を交差させても問題は解決しないことに注意してください。任意のクライアントのために動作するために、サーバーに非常に広範な権限 (特定のリクエストに必要な権限ではなく、常に) を与える必要がある場合があるためです。

混乱した代理問題を解決する最も簡単な方法は、オブジェクトの指定とそのオブジェクトにアクセスする権限をまとめることです。これがまさに機能です。^{[引用が必要]}

コンパイラの例で機能セキュリティを使用すると、クライアントは、ファイル名ではなく、ファイル記述子などの出力ファイルへの機能をサーバーに渡します。請求書ファイルへの機能がないため、そのファイルを出力用に指定することはできません。クロスサイト リクエスト フォージェリの例では、「クロス」サイトで提供される URL には、Web ブラウザーのクライアントの権限とは独立した独自の権限が含まれます。

• Unix のsetuid実行ファイル
• 周囲の権威

• Norman Hardy、「The Confused Deputy: (または、なぜ機能が発明されたのか)」、ACM SIGOPS Operating Systems Review、第 22 巻、第 4 号 (1988 年 10 月)。
  • ACM が公開した文書。
  • Norm Hardy の Web サイトにある文書テキスト。
  • ペンシルバニア大学のウェブサイト上の文書テキスト。
  • Citeseer 相互参照。
• 複数のソースからの能力理論ノート (Norm Hardy による編集)。
• Everything2: 混乱した副官 (入門レベルのテキスト)。